Die 4 Phasen eines Cyberangriffs auf ein Unternehmen – und wo man ihn in jeder einzelnen stoppen kann

Die 4 Phasen eines Cyberangriffs auf ein UnternehmenWenn ein Unternehmen mit verschlüsselten Dateien und einem Lösegeld-Antrag auf dem Bildschirm aufwacht, scheint der Angriff in jener Nacht stattgefunden zu haben. Das ist fast nie der Fall. Der Angreifer ist Tage oder Wochen zuvor eingedrungen, hat im Netzwerk geplaudert, die Sicherungskopien gefunden, sie gelöscht und erst dann auf den Knopf gedrückt. Das Verständnis dieser Sequenz verändert die Sicherheitsphilosophie: Anstatt einer einzigen Barriere gibt es vier Momente, in denen der Angriff abgewehrt werden kann – und je früher, desto billiger. Dieser Artikel beschreibt die vier Phasen, wie wir sie in den Vorfällen in portugiesischen KMU sehen und wie sie bei jeder einzelnen funktionieren.

Phase 1 — Aufklärung: Der Angreifer untersucht das Unternehmen

Vor jedem Kontakt sammelt der Angreifer öffentlich zugängliche Informationen: Namen und Positionen auf LinkedIn, E-Mail-Adressen auf der Website, in Nachrichten erwähnte Lieferanten, die von dem Unternehmen genutzte Software (die in Stellenangeboten auftaucht) sowie Passwörter von Mitarbeitern, die bei Datenlecks auf anderen Websites aufgetaucht sind. Damit stellt er den maßgeschneiderten Angriff zusammen: eine E-Mail vom “üblichen Lieferanten”, ein Anruf von der “Bank”, ein Anmeldeversuch mit dem wiederverwendeten Passwort. Diese Phase ist für das Unternehmen unsichtbar und dauert Stunden bis Wochen.
Wo man parken kann: Reduzierung des Exponierten und des Schlüssels. Einzigartige Passwörter mit einem Passwort-Manager Wir haben die Lecks von anderen Websites geschlossen. Weniger generische E-Mail-Adressen auf der Website und ein Verfahren für Bestellungen “im Auftrag” verringern die Angriffsfläche für Social Engineering.

Phase 2 – Eingang: die erste Tür

Drei Türen dominieren bei KMU. Die erste ist Phishing: Jemand tippt das Passwort auf einer gefälschten Website ein oder öffnet einen Anhang, der Schadsoftware installiert. Die zweite ist ein im Internet exponierter Dienst mit schwachem Passwort oder ohne MFA – ein Remotedesktop, ein VPN, ein altes Portal. Die dritte ist eine nicht behobene Schwachstelle in einem nach außen gerichteten Gerät: Firewall mit alter Firmware, Server ohne Updates, Windows 10 ohne Support. Der Einbruch selbst dauert Minuten.
Wo man parken kann: Multifaktor-Authentifizierung bei allem, was von außen zugänglich ist — macht das gestohlene Passwort nutzlos. E-Mail-Filterung und ausgebildetes Team zum Melken. Die Updates sind aktuell und ein verwaltete Firewall, wobei die freiliegenden Dienste auf ein Minimum reduziert sind. Dies ist die Phase, in der die meisten Angriffe auf KMU scheitern sollten.

Phase 3 — Expansion: Von einer Tankstelle auf das gesamte Netz

Mit einem Fuß in der Tür sucht der Angreifer nach drei Dinge: mehr Zugangsdaten (vor allem Administratorrechte), den Weg zu den Servern und die Sicherheitskopien. In einem flachen Netzwerk ohne Segmentierung, in dem die Benutzer Administratoren ihrer eigenen Arbeitsplätze sind und auf allen Maschinen dieselben Administratorpasswörter verwendet werden, dauert dies Stunden. Dies ist auch die Phase, in der der Angreifer das Antivirenprogramm deaktiviert, eigene Konten erstellt, um später zurückzukehren, und die Sicherheitskopien, die er erreichen kann, löscht oder verschlüsselt. Dies kann Tage oder Wochen dauern – und es ist der Moment, in dem die Überwachung den Unterschied ausmacht zwischen einem kompromittierten Arbeitsplatz und einem zum Stillstand gekommenen Unternehmen.
Wo man parken kann: Netzwerktrennung in VLANs, damit ein kompromittierter Arbeitsplatz weder die Server noch die Backups erreichen kann (Wie macht man das). Benutzer ohne Administratorrechte. Netzgebietsfremde und unveränderliche Sicherheitskopien. Und 24x7-Überwachung (Premium 365) der das anomales Verhalten erkennt – Anmeldungen zu ungewöhnlichen Zeiten, neue Konten, Traffic zu merkwürdigen Zielen –, solange es noch ein Alarm und keine Katastrophe ist. Das ist die Logik der vier Schritte von Zero Trust für KMU.

Phase 4 – Wirkung: Was das Unternehmen sieht

Erst hier wird der Angriff sichtbar: verschlüsselte Dateien und eine Lösegeldforderung, veröffentlichte oder verkaufte Daten, betrügerische Banküberweisungen oder schlicht der Stillstand der Systeme. Der Angreifer wählt den Zeitpunkt – oft den Freitagabend oder vor einem Feiertag –, um die Zeit bis zur Reaktion zu maximieren. Ab hier bemisst sich die Kosten nicht mehr in Prävention: Sie bemisst sich in Ausfalltagen, Wiederherstellungshonoraren, Meldungen an die CNPD und Kunden sowie im Ruf.
Wo man parken kann: Man kämpft nicht mehr, man kontrolliert sich. Ein schriftlicher und bekannter Vorfallreaktionsplan – wer isoliert was, wer kommuniziert, wer ruft wen an. Getestete und für den Angreifer unerreichbare Backups, die den Unterschied zwischen Wiederherstellung in Stunden und Lösegeldverhandlungen ausmachen. Ein Plan zur Notfallwiederherstellung mit definierten Erholungszeiten. Und die ersten Stunden gut gemanagt – was zu tun und zu lassen ist, steht in unserem Leitfaden über Datenrettung in den ersten Stunden.

Warum Phase 3 am wichtigsten ist

Phase 2 wird bei 100% niemals abgeschlossen sein – Menschen machen Fehler, und jeden Tag tauchen neue Schwachstellen auf. In Phase 4 ist es bereits zu spät, um noch vorbeugende Maßnahmen zu ergreifen. In Phase 3 verwandelt ein Unternehmen mit Segmentierung, Überwachung und gesicherten Kopien einen schwerwiegenden Vorfall in einen Fall, bei dem lediglich ein System neu installiert werden muss. Es ist auch die am meisten vernachlässigte Phase, weil man sie nicht sieht: Unternehmen investieren in den Eingangsbereich (Firewall, Antivirus) und in die Wiederherstellung (Backups), lassen aber den mittleren Bereich offen.

Eine reale, zusammenfassende Sequenz

Ein zusammengesetztes Szenario dessen, was wir in KMU sehen: Dienstag, ein Mitarbeiter aus der Buchhaltung erhält eine E-Mail vom “Lieferanten” mit einer Rechnung und tippt das Passwort in das gefälschte Portal ein. Der Angreifer dringt noch am selben Abend in die E-Mail ein, liest eine Woche lang mit, findet den Zugang zur Remotedesktop-Umgebung ohne MFA. Er dringt in das Netzwerk ein, stellt fest, dass der Benutzer lokaler Administrator ist, extrahiert Anmeldeinformationen, gelangt zum Dateiserver und zum NAS mit den Backups im selben Segment. Löscht die Backups in der Nacht von Donnerstag. Verschlüsselt alles im Morgengrauen des Samstags. Montagfrüh entdeckt das Unternehmen den Vorfall. Mit MFA beim Remote-Zugang hätte der Angriff in Phase 2 gestoppt. Mit VLANs und Backups außerhalb des Netzwerks hätte er in Phase 3 mit einem wiederherzustellenden Server gestoppt. Ohne all dies waren es drei Wochen teilweiser Stillstand.

Häufig gestellte Fragen

Wie viel Zeit vergeht zwischen dem Eintritt und dem Aufprall?

Bei KMUs dauert dies typischerweise zwischen einigen Tagen und einigen Wochen. Automatisierte Angriffe können innerhalb von Stunden verschlüsseln; gezielte Angriffe dauern länger, weil der Angreifer vor dem Handeln nach den Backups sucht.

Blockiert ein guter Virenscanner nicht all das?

Es blockiert einen Teil von Phase 2 (schädliche Anhänge) und einen Teil von Phase 3 (bekannte Tools). Es blockiert keine gestohlenen Zugangsdaten, die auf legitime Weise verwendet werden, was der Weg ist, wie die meisten Angriffe fortschreiten. Aus diesem Grund sind MFA und Segmentierung entscheidender.

Löst das Bezahlen des Lösegeld das Problem?

Es garantiert keine Wiederherstellung, garantiert nicht, dass die Daten nicht veröffentlicht werden, und finanziert den nächsten Angriff. Unternehmen mit getesteten und unerreichbaren Kopien müssen die Frage nicht in Betracht ziehen.

Wo soll man anfangen, wenn man nichts davon hat?

Nach Kosten-Nutzen-Verhältnis geordnet: MFA für alle externen Zugriffe, netzwerkunabhängige und getestete Backups, Administratorrechte für Benutzer entfernen, das Netzwerk segmentieren. Die ersten beiden lassen sich in Tagen umsetzen.

In welcher Phase würde Ihr Unternehmen einen Angriff abwehren?

Wir gehen mit Ihrer Infrastruktur die vier Phasen durch und sagen Ihnen schriftlich, wo der Angriff heute stoppen würde und was fehlt, um ihn früher zu stoppen. Sehen Sie sich unsere Managed Cybersecurity für Unternehmen oder rufen Sie +351 211 459 950 an.